Ce que fait Cloudflare et comment sa plateforme fonctionne
Cloudflare est une entreprise de connectivité cloud. Sa plateforme mondiale fournit des services de diffusion de sites web, de sécurité, de fiabilité, de réseau, d’accès des collaborateurs et de développement d’applications. Une entreprise peut utiliser un service Cloudflare sans adopter toute la plateforme.
cloudflare.com est le site web officiel de Cloudflare. Il présente les produits, la documentation, l’assistance, l’entreprise et les informations relatives à la confiance. Le site web ne doit pas être confondu avec la plateforme elle-même ni avec le site web d’un client qui utilise Cloudflare.
À quoi sert Cloudflare
Cloudflare intervient dans plusieurs domaines de l’infrastructure Internet. Le décrire uniquement comme un réseau de diffusion de contenu, un fournisseur DNS ou un service de protection DDoS laisse de côté des éléments importants de la plateforme.
Un site web ou une organisation peut utiliser Cloudflare pour :
- Publier des enregistrements DNS faisant autorité
- Acheminer le trafic web public par l’intermédiaire d’un proxy inverse
- Mettre en cache le contenu admissible plus près des visiteurs
- Filtrer les attaques et les requêtes indésirables
- Équilibrer le trafic ou améliorer le routage réseau
- Contrôler l’accès des employés aux applications privées
- Exécuter du code applicatif et stocker des données
- Protéger des réseaux et des connexions Internet de plus grande envergure
Il s’agit d’utilisations possibles, et non de fonctionnalités automatiquement activées pour chaque client. Le propriétaire choisit les produits et les paramètres pour chaque domaine, application, groupe d’utilisateurs ou réseau.
Comment fonctionne le proxy inverse
Pour un site web utilisant un proxy, une requête simplifiée suit ce parcours :
- Un visiteur demande une page.
- Le DNS renvoie une adresse associée au réseau de Cloudflare.
- Le navigateur se connecte à Cloudflare plutôt que directement au serveur d’origine.
- Cloudflare applique les services configurés pour ce trafic.
- Cloudflare contacte le serveur d’origine lorsqu’il a besoin d’une réponse qu’il ne peut pas fournir lui-même.
- La réponse revient au visiteur par l’intermédiaire de Cloudflare.
Cette configuration est appelée proxy inverse, car le proxy reçoit les requêtes pour le compte de l’application d’origine. Elle permet à Cloudflare d’effectuer des opérations sur le trajet du trafic, comme terminer les connexions HTTPS, appliquer des règles de sécurité ou servir du contenu mis en cache.
Ce modèle ne prouve pas que chaque réponse a été mise en cache ou inspectée par chaque produit de sécurité. Il ne prouve pas non plus que le serveur d’origine est inaccessible par une autre adresse. Ces résultats dépendent de la configuration du client.
Cloudflare utilise des adresses IP partagées et le routage Anycast. Anycast permet d’annoncer la même plage d’adresses depuis de nombreux emplacements réseau afin que le trafic puisse atteindre un emplacement Cloudflare proche. Une adresse Cloudflare identifie donc le parcours réseau public. Elle n’identifie généralement pas l’hôte d’origine du client.
Enregistrements DNS uniquement et avec proxy
Cloudflare peut fournir un DNS faisant autorité sans faire transiter le trafic d’un site web par son proxy. C’est l’une des raisons pour lesquelles l’expression « utilise Cloudflare » nécessite du contexte.
| Paramètre | Ce qui se passe | Ce que cela ne prouve pas |
|---|---|---|
| DNS uniquement | Cloudflare répond aux requêtes DNS avec la destination configurée par le propriétaire du domaine | Le trafic web ordinaire ne passe pas automatiquement par le proxy HTTP de Cloudflare |
| Avec proxy | Le DNS renvoie une adresse Cloudflare et le trafic pris en charge atteint d’abord Cloudflare | Chaque réponse n’est pas automatiquement mise en cache et chaque produit facultatif n’est pas automatiquement actif |
| Produit distinct de la plateforme | Le client utilise ce service conformément à son architecture propre | Le reste du catalogue de Cloudflare n’est pas nécessairement utilisé |
Un domaine peut combiner ces approches. Son site web principal peut utiliser le proxy, un enregistrement de messagerie peut rester en mode DNS uniquement et une application distincte peut s’exécuter sur la plateforme de développement.
Principales composantes de la plateforme
Cloudflare regroupe ses produits en fonction de différentes finalités. Ces distinctions permettent d’expliquer la plateforme sans la présenter comme un seul interrupteur géant.
Performances et sécurité des applications
Ces services fonctionnent avec les sites web publics, les API et les applications. Ils comprennent le DNS, la diffusion de contenu, l’équilibrage de charge, le HTTPS, la protection DDoS, les contrôles de pare-feu d’applications web, la limitation de débit, les contrôles contre les bots et des produits associés.
Chaque produit répond à un problème différent. Un domaine utilisant un proxy ne prouve pas automatiquement qu’un pare-feu d’applications web, un produit de gestion des bots ou une limite de débit personnalisée est activé. Le propriétaire d’un site doit configurer et tester les contrôles pertinents pour l’application.
Zero Trust et SASE
Cloudflare fournit également des services qui contrôlent la manière dont les employés, les appareils et les réseaux accèdent aux applications privées, à l’Internet public et aux services logiciels. Ce domaine est couramment décrit par des termes tels que Zero Trust, Security Service Edge ou SASE.
Cela diffère du placement d’un site web public derrière un proxy inverse. Une entreprise peut protéger ses collaborateurs sans héberger son site public sur la plateforme de développement, et elle peut faire transiter un site web par un proxy sans utiliser les produits d’accès destinés aux collaborateurs.
Services réseau
Certains produits fonctionnent à des couches réseau plus larges, et pas uniquement au niveau des applications web. Ils peuvent protéger ou connecter des réseaux, acheminer le trafic ou prendre en charge des protocoles allant au-delà d’une requête de navigateur normale.
C’est pourquoi un seul schéma de trafic ne peut pas décrire tous les services Cloudflare. Une requête web utilisant un proxy, un employé accédant à une application privée et une organisation protégeant un réseau IP suivent des parcours différents.
Plateforme de développement
La plateforme de développement de Cloudflare permet aux équipes d’exécuter du code et d’utiliser des services de données gérés sur son réseau. Les composants courants comprennent :
| Produit | Rôle en termes simples |
|---|---|
| Workers | Exécute du code applicatif sans qu’il soit nécessaire de gérer un serveur conventionnel pour ce code |
| D1 | Fournit un stockage SQL géré |
| R2 | Stocke des fichiers et d’autres objets |
| KV | Stocke des valeurs accessibles par des clés |
| Durable Objects | Associe un état à des capacités de calcul coordonnées |
| Queues and Workflows | Prend en charge les messages en arrière-plan et les tâches en plusieurs étapes |
Ces produits peuvent être combinés, mais ils ne sont pas interchangeables. Une application relationnelle peut avoir besoin de SQL, une bibliothèque d’images peut nécessiter un stockage d’objets et une session collaborative peut avoir besoin d’un état coordonné.
L’existence de ces services ne signifie pas que chaque site placé derrière Cloudflare a été créé avec Workers ou stocke ses données dans D1. De nombreux clients conservent leur application chez un autre hébergeur et utilisent Cloudflare uniquement en amont.
Cloudflare est-il un fournisseur d’hébergement ?
Cloudflare peut héberger du code applicatif et des données grâce à ses produits destinés aux développeurs, mais une adresse IP Cloudflare ne permet pas à elle seule de déterminer où s’exécute le serveur d’origine d’un site.
Dans une configuration avec proxy inverse, les visiteurs voient l’adresse publique du proxy. Le serveur d’origine peut se trouver dans un centre de données privé ou chez un autre fournisseur de cloud ou d’hébergement. Les adresses de proxy partagées masquent intentionnellement ce détail lors d’une recherche élémentaire.
Utilisez des formulations plus précises :
- « Le trafic public du site passe par Cloudflare » lorsque les éléments relatifs au proxy le confirment.
- « Le domaine utilise le DNS faisant autorité de Cloudflare » lorsque les éléments relatifs aux serveurs de noms le confirment.
- « L’application s’exécute sur Workers » uniquement lorsque des éléments directs étayent cette conclusion.
Cloudflare met-il chaque page en cache ?
Non. Cloudflare propose des contrôles de mise en cache et de diffusion de contenu, mais le comportement réel dépend de la requête, de la réponse, des règles de cache, du produit et de la configuration du client.
Les réponses dynamiques ou personnalisées peuvent ne pas convenir à une mise en cache partagée. Un client peut contourner le cache pour certains chemins ou modifier la durée de stockage du contenu admissible. Une seule réponse Cloudflare ne permet donc pas d’établir la politique de cache de l’ensemble du site.
La même prudence s’applique à la sécurité. Cloudflare propose de nombreux contrôles, mais la présence sur son réseau ne prouve pas que chaque option est achetée, activée ou correctement configurée.
Confidentialité, sécurité et compromis opérationnels
Lorsque Cloudflare agit comme proxy inverse, le trafic atteint son réseau avant d’atteindre le serveur d’origine. Cette position rend possibles des fonctions de performance et de sécurité, tout en faisant de la gestion des données et du contrôle des accès des sujets d’évaluation importants.
Cloudflare publie une politique de confidentialité et un centre de confiance contenant des informations à jour sur la protection des données, la sécurité et la conformité. Le propriétaire d’un site doit examiner ces documents pour les produits et les régions qu’il prévoit d’utiliser.
Le propriétaire du site conserve certaines responsabilités. Cloudflare ne garantit pas par défaut que le code applicatif est correct, que les autorisations sont restreintes, que la collecte de données est nécessaire ou que le serveur d’origine est sécurisé. Les équipes doivent examiner :
- Quels enregistrements et quelles applications utilisent le proxy
- Quelles données de requête et de réponse transitent par le service
- Si le serveur d’origine accepte du trafic direct non prévu
- Comment les certificats, les secrets et les accès administrateur sont gérés
- Quelles règles de sécurité sont activées et testées
- Comment les journaux sont conservés et qui peut y accéder
- Ce qui se passe en cas d’erreur de configuration ou d’incident de service
Un service en couches peut réduire les risques tout en devenant une dépendance opérationnelle. Les équipes ont besoin d’un contrôle des changements, d’une surveillance, de sauvegardes et d’un plan de reprise adaptés à l’application.
Comment évaluer Cloudflare
Commencez par le problème plutôt que par la liste des produits. Un petit site web, une application interne, un réseau mondial et une charge de travail sans serveur ont des exigences différentes.
Posez-vous les questions suivantes :
- Avons-nous besoin d’un DNS faisant autorité, d’un proxy ou des deux ?
- Quels noms d’hôte et quels types de trafic Cloudflare doit-il gérer ?
- Quel problème de performance ou de sécurité essayons-nous de résoudre ?
- La tâche concerne-t-elle une application publique, l’accès des employés ou un réseau ?
- La charge de travail est-elle adaptée à Workers et aux services de données disponibles ?
- Quelles informations le service traitera-t-il ?
- Quelles fonctionnalités, limites et options d’assistance s’appliquent à l’offre envisagée ?
- Comment allons-nous tester les modifications et nous remettre des erreurs ?
Créez ensuite un essai représentatif. Mesurez des pages et des requêtes réelles, testez le comportement du cache et de la sécurité, vérifiez le parcours vers le serveur d’origine et documentez la configuration obtenue. La documentation actuelle des produits est plus fiable qu’une liste de contrôle générique, car les offres et les capacités évoluent.
Cloudflare se comprend mieux comme une vaste plateforme de connectivité. Elle peut répondre à un besoin précis, comme le DNS faisant autorité, ou combiner plusieurs services couvrant les applications et les réseaux. La description correcte de son utilisation par un client dépend de ce que celui-ci a réellement configuré, et non de la liste complète des produits proposés par Cloudflare.
Une réponse valide ne garantit pas la sécurité. Les mesures décrivent une observation ponctuelle.